情報漏えいのニュースを見るたびに、「自分のパスワードは大丈夫だろうか」と気になる人も多いと思います。
この記事では、パスワードが漏れていないかを確認する方法と、漏れていたときや不正にログインされたときの対応を、IPA（情報処理推進機構）の情報をもとにまとめます。
パスワードが漏れる主な原因
IPAは、IDやパスワードが漏れる主な原因として、次の3つを挙げています。
- 単純なパスワードを推測される
- あるサービスから漏れたパスワードを、ほかのサービスで使われる
- フィッシングサイトにだまされて、パスワードを入力してしまう
1つ目と2つ目は、長く複雑なパスワードを、サービスごとに変えて使うことで防ぎやすくなります。3つ目のフィッシングについては、こちらの記事でまとめています。
フィッシング詐欺の見分け方｜在宅ワーカーが身を守るコツとパスワード管理アプリの役割
漏れていないか確認する方法
パスワード管理アプリの確認機能を使う
パスワード管理アプリには、保存しているパスワードに問題がないかを調べてくれる機能があるものがあります。
私が使っている1Passwordには、Watchtower（ウォッチタワー）という機能があります。公式サポートによると、保存しているログイン情報を、次のような分類で知らせてくれます。
- 漏えいが報告されたサイトで、そのあとパスワードを変えていないもの
- 漏えいで流出したことがあるパスワードを使っているもの
- 同じパスワードを使い回しているもの
- 推測されやすい弱いパスワードのもの
ほかにも、パスキーや二段階認証が使えるのにまだ設定していないサイトも知らせてくれます。パソコンのブラウザではサイドバーに、スマホのアプリでは画面の下に「Watchtower」が表示されるので、そこから確認できます。
ブラウザやスマホの確認機能を使う
ブラウザやスマホにパスワードを保存している場合も、同じような機能があります。たとえばGoogle パスワード マネージャーには、保存したパスワードが漏えいしていないか、弱くないか、使い回していないかを確認する「パスワード チェックアップ」があります。
サービスからのお知らせに注意する
サービスの側で情報漏えいが起きた場合、利用者にメールなどで知らせが届くことがあります。ただし、「パスワードが漏えいしました」という内容をよそおったフィッシングメールもあります。お知らせが届いたら、メールのリンクは使わず、ブックマークや公式アプリから自分でログインして確認しましょう。
漏れていたとき・不正にログインされたときの対応
IPAは、不正ログインの被害にあったときの対応を、自分でログインできるかどうかで分けて説明しています。
自分でログインできる場合
- すぐにパスワードを変える
- 登録しているメールアドレスや電話番号を確認し、自分のものではない情報があれば削除する
- 二段階認証（多要素認証）を設定していなければ、設定する
自分ではログインできない場合
多くのサービスには、「パスワードを忘れた」などの画面からパスワードを設定し直す手続きがあります。登録しているメールアドレスや電話番号が使えれば、ここからアカウントを取り戻せる可能性があります。
それでもログインできない場合は、サービスの運営会社に相談します。電話の窓口がないサービスも多く、その場合はヘルプページのフォームなどから相談します。
あわせてやること
- 漏れたパスワードをほかのサービスでも使っていたら、そちらも変える
- クレジットカードの情報が関わる場合は、すぐにカード会社に相談する
- 被害があった場合は、関係するサービスの運営会社に相談する（補償などについて）
どこから手をつけるか
確認機能で問題がたくさん見つかると、どこから手をつければいいか迷うかもしれません。被害が大きくなりやすいものから順に進めるのがおすすめです。
- メールアカウント（ほかのサービスのパスワード再設定の入口になるため）
- 銀行、会計ソフト、ネットショップなど、お金に関わるもの
- パスワード管理アプリや、GoogleアカウントなどIDの入口になるもの
パスワードを変えるときは、二段階認証もあわせて設定しておくと安心です。
使っていないアカウントも見直す
確認していると、もう使っていないサービスが見つかることもあります。使っていないアカウントは、古いパスワードのまま残っていることが多いので、この機会に整理しておきましょう。
使っていないアカウントは整理しよう｜放置するリスクと退会前のチェックリスト
困ったときの相談先
どうすればいいかわからないときは、IPAの「情報セキュリティ安心相談窓口」に相談することもできます。
私の場合
実は私は、1PasswordにWatchtowerという機能があることを、この記事を書くまで知りませんでした。2年以上使っていたのに、気づいていませんでした。
開いてみると、同じパスワードを使い回しているものや、弱いパスワードのものが一覧で示されていました。どれを変えればいいかがひと目でわかるので、パスワードを見直す助けになりました。
パスワード管理アプリを使っていても、中身をときどき点検しないと、昔のパスワードがそのまま残っていることがあります。アプリを使っている方は、一度Watchtowerのような確認機能をのぞいてみてください。
まとめ
パスワードが漏れていないかは、パスワード管理アプリやブラウザの確認機能で調べられます。漏れていたり、不正にログインされたりしたときは、パスワードの変更、登録情報の確認、二段階認証の設定を、すぐに進めましょう。
ふだんから、サービスごとに違う強いパスワードを使い、ときどき確認機能をのぞいておくと安心です。私が使っている1Passwordについては、こちらの記事にまとめています。
【使用レビュー】1Passwordソースネクスト版は買い？公式サブスクとの違い・コスパを実体験で解説
参考資料
インターネットサービスへの不正ログインによる被害が増加中（IPA 情報処理推進機構）
Use Watchtower to find account details you need to change（1Password Support）
